Tutoriel CAS – FoxDevelop

Implémentation CAS

jack — Thu, 06 Aug 2026 08:08:13 +0000

Logique d’implémentation de l’ancienne version de CAS

Principe fondamental (protocole CAS 1.0)

L’utilisateur accède à la page protégée /admin/admin.aspx
Les règles de permissions dans web.config bloquent les utilisateurs anonymes et redirigent automatiquement vers la page de connexion CasEnter.aspx
CasEnter.aspx vérifie la présence du paramètre ticket dans l’URL

Pas de ticket : redirection vers la page de connexion du serveur CAS avec l’adresse du site courant dans le paramètre service
Avec ticket : appel de l’API serviceValidate pour valider le billet auprès du serveur CAS

CAS renvoie un document XML, on en extrait le nom d’utilisateur connecté
Après validation réussie, appel à FormsAuthentication.SetAuthCookie() pour créer le billet d’authentification Forms local et rediriger vers la page cible
Les accès suivants aux dossiers protégés utilisent ASP.NET Forms pour reconnaître l’état de connexion

Configuration web.config

<system.web>
  <authentication mode="Forms">
    
    <forms loginUrl="CasEnter.aspx" 
           defaultUrl="admin/admin.aspx" 
           name=".LoginFormsTicket" 
           path="/" 
           timeout="40" 
           protection="All">
    forms>
  authentication>
  <authorization>
    <allow users="*"/>
  authorization>
system.web>


<location path="admin">
  <system.web>
    <authorization>
      <deny users="?"/>
    authorization>
  system.web>
location>

Les serveurs CAS récents imposent HTTPS par défaut. La valeur de casUrl doit être renseignée avec https://127.0.0.1:8443/cas/

<appSettings>
  
  <add key="casUrl" value="https://127.0.0.1:8443/cas/"/>
appSettings>

Code‑source de CasEnter.aspx

1. Partie vue CasEnter.aspx

<%@ Page Language="C#" AutoEventWireup="true" CodeBehind="CasEnter.aspx.cs" Inherits="CasStudy.Web.CasEnter" %>
html>
<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
    <title>Connexion relais CAStitle>
head>
<body>
    <form id="form1" runat="server">
        <div>
            <asp:Label ID="Label1" runat="server">asp:Label><br />
            <asp:HyperLink ID="HyperLink1" runat="server">Ré‑authentifierasp:HyperLink>
        div>
    form>
body>
html>

2. Code‑behind CasEnter.aspx.cs

API mise à jour vers CAS3.0 p3/serviceValidate
Remplacement de WebClient obsolète par HttpClient

Ajout de la compatibilité pour certificats auto‑signés (indispensable pour les tests locaux sur CAS récent)
Gestion des espaces de noms sur le XML renvoyé par CAS

using System;
using System.Configuration;
using System.Net;
using System.Net.Http;
using System.Xml;
using System.Web.Security;

public partial class CasEnter : System.Web.UI.Page
{
    protected void Page_Load(object sender, EventArgs e)
    {
        string casHost = ConfigurationManager.AppSettings["casUrl"];
        string ticket = Request.QueryString["ticket"];
        string service = Request.Url.GetLeftPart(UriPartial.Path);

        // Sans billet : redirection vers la page de connexion CAS
        if (string.IsNullOrEmpty(ticket))
        {
            string redirectUrl = $"{casHost}login?service={Uri.EscapeDataString(service)}";
            Response.Redirect(redirectUrl);
            return;
        }

        // Validation du billet
        string username = ValidateTicket(casHost, ticket, service);
        if (string.IsNullOrEmpty(username))
        {
            Label1.Text = "Désolé, l’authentification CAS a échoué. Veuillez réessayer.";
            HyperLink1.NavigateUrl = Request.Url.AbsolutePath;
        }
        else
        {
            // Génère le billet Forms pour la connexion locale
            FormsAuthentication.SetAuthCookie(username, false);
            // Redirige vers la page cible
            Response.Redirect(FormsAuthentication.DefaultUrl);
        }
    }

    /// <summary>
    /// Validation de billet CAS3.0 via p3/serviceValidate
    /// summary>
    private string ValidateTicket(string casHost, string ticket, string service)
    {
        // CAS récent préconise p3/serviceValidate (protocole CAS3.0)
        string validateUrl = $"{casHost}p3/serviceValidate?ticket={Uri.EscapeDataString(ticket)}&service={Uri.EscapeDataString(service)}";

        // Tests locaux uniquement : autorise certificats SSL non fiables (supprimer en production!)
        ServicePointManager.ServerCertificateValidationCallback += (s, cert, chain, err) => true;

        using var httpClient = new HttpClient();
        string xml = httpClient.GetStringAsync(validateUrl).Result;

        XmlDocument doc = new XmlDocument();
        doc.LoadXml(xml);
        XmlNamespaceManager nsMgr = new XmlNamespaceManager(doc.NameTable);
        // Espace de noms du XML réponse CAS3
        nsMgr.AddNamespace("cas", "http://www.yale.edu/tp/cas");

        // Récupération du nœud utilisateur
        XmlNode userNode = doc.SelectSingleNode("//cas:authenticationSuccess/cas:user", nsMgr);
        return userNode?.InnerText;
    }
}

Implémentation CAS

Installation

jack — Thu, 06 Aug 2026 07:54:57 +0000

Installation ancienne version‑ Instructions pour CAS antérieur à la 5.0

Le serveur CAS est développé en Java, son exécution dépend de deux environnements clés :

JDK (Kit de développement Java) : intègre la machine virtuelle Java (JVM), indispensable pour exécuter les programmes Java.
Tomcat (conteneur web) : permet de déployer et d’exécuter l’application web war de CAS.

Ordre d’installation à respecter : installer d’abord le JDK → puis Tomcat (Tomcat détecte automatiquement l’environnement JDK local lors de son installation)

Dépendances

1. JDK

Version : (JDK) Java 17
Lien direct : Java Downloads | Oracle

Attention : Le JDK 7 est une version obsolète, compatible uniquement avec les anciennes versions de CAS ; déconseillé pour les nouveaux projets.

2. Apache Tomcat

Version : Tomcat (version installable Windows)
Apache Tomcat® – Welcome!

Procédure d’installation

Installer le JDK
- Lancer le fichier exe d’installation, vous pouvez personnaliser le chemin d’installation
- 【Point essentiel】Après l’installation, configurez les variables d’environnement : JAVA_HOME, Path, pour que Tomcat reconnaisse correctement l’environnement Java
Installer Tomcat 7
- Lancer le programme d’installation, il détecte automatiquement le JDK déjà installé
- Personnalisez le port Tomcat (8080 par défaut), définissez identifiant et mot de passe d’administration
- Options de la page de fin d’installation :
- Run Apache Tomcat : cocher pour lancer automatiquement le service Tomcat après avoir cliqué sur Finish
- Show Readme : vous pouvez décocher, pas besoin de consulter la documentation
- Cliquez sur Finish pour terminer l’installation

Configurer SSL/HTTPS sur Tomcat

Contexte essentiel : Le protocole CAS impose l’usage obligatoire du HTTPS sur le serveur, HTTP n’est pas autorisé, il faut donc configurer un certificat SSL pour Tomcat.

Générez un magasin de clés JKS (certificat autosigné) avec l’outil keytool fourni par le JDK
Modifiez conf/server.xml de Tomcat pour activer le connecteur SSL
Redémarrez Tomcat, accédez à https://localhost:8443 pour vérifier le bon fonctionnement du HTTPS

Générer un certificat autosigné (JKS)

Prérequis

Créer un dossier de stockage des certificats : exemple C:\Keys
Exécuter cmd en tant qu’administrateur
> Sous Windows 7/10/11, une cmd classique renvoie une erreur de permissions lors de l’écriture à la racine du disque C.
Accédez au dossier bin de JDK/JRE

cd "c:\Program Files\Java\jre\bin"

Commande modèle générique (valable aussi pour les versions récentes du JDK)

keytool -genkey -alias tomcat -keyalg RSA -storepass changeit -keystore c:\Keys\.keystore -validity 36000

Explication des paramètres

Paramètre	Signification
`-genkey`	Génère une paire de clés
`-alias tomcat`	Alias du certificat, personnalisable
`-keyalg RSA`	Algorithme de chiffrement, RSA standard
`-storepass changeit`	Mot de passe du magasin de clés (à conserver absolument, utilisé pour configurer Tomcat par la suite)
`-keystore c:\Keys\.keystore`	Chemin de sortie du fichier certificat
`-validity 36000`	Durée de validité du certificat (en jours)

Renseignement interactif des informations

Après exécution de la commande, saisissez successivement :

Prénom et nom : saisissez le nom de domaine (vous pouvez mettre n’importe quoi pour un environnement d’apprentissage)
Unité organisationnelle, organisation, ville, département, code pays (cn)
Confirmez les informations en tapant y
Mot de passe de la clé : appuyez directement sur Entrée, utilisez le même mot de passe que le magasin de clés

Commande pour consulter le certificat

keytool -list -keystore "C:\Keys\.keystore"

Saisissez le mot de passe ; si les informations s’affichent correctement, le certificat est bien généré.

Configurer le connecteur SSL dans Tomcat server.xml

Ouvrez Tomcat/conf/server.xml
Repérez le connecteur SSL commenté, supprimez le commentaire et adaptez le chemin du certificat ainsi que son mot de passe

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="false" sslProtocol="TLS"
    keystoreFile="C:\Keys\.keystore"
    keystorePass="changeit" />

Description des paramètres

port="8443" : port HTTPS par défaut de Tomcat (le port HTTPS standard est 443, si vous voulez l’utiliser faites attention aux conflits de port et aux permissions)
keystoreFile : chemin absolu du fichier certificat généré
keystorePass : mot de passe du magasin de clés défini précédemment avec keytool
clientAuth="false" : pas besoin de certificat client (gardez false pour un environnement d’apprentissage)

Méthode de vérification

Lancez Tomcat, accédez dans votre navigateur :
https://127.0.0.1:8443

Le navigateur affichera un avertissement « non sécurisé » pour un certificat autosigné, c’est un comportement normal ; pour la production utilisez un certificat CA officiel.

Installation CAS 5.0+

1. Récupération des ressources

CAS 5.0+ abandonne le schéma traditionnel war + Tomcat. Basé sur SpringBoot, il est fourni sous forme de fichier Jar exécutable autonome, pas besoin de Tomcat externe

Serveur CAS (Server)

Générer un paquet de déploiement en ligne avec CAS Initializr
https://casinitializr.apereo.org

2. Procédure de déploiement du serveur CAS

Ouvrez CAS Initializr

Sélectionnez CAS Version : 7.0.x (dernière version stable)
Cochez les modules de base : Core / Web / SSL
Générez et téléchargez cas.war (ou générez directement le Jar autonome cas.jar)

Choisissez l’un des deux modes d’empaquetage :

Mode A (recommandé) : Standalone (Jar autonome), Tomcat intégré, prêt à l’emploi

Mode B : paquet War classique, déployable sur un Tomcat externe (non recommandé)

Déploiement en mode【Jar autonome】(solution majoritaire)
1) Téléchargez cas.jar
2) Créez le dossier de configuration ./etc/cas/config et le fichier de configuration cas.properties
3) Commande de lancement (nécessite Java 17 ou supérieur)

java -jar cas.jar

Informations sur le port et le HTTPS
Port Tomcat intégré par défaut : 8443 (HTTPS)
Les nouvelles versions imposent le HTTPS par défaut, conformément aux spécifications des anciennes versions.

3. Adresse d’accès

https://127.0.0.1:8443/cas

Installation

Présentation

jack — Thu, 06 Aug 2026 07:36:45 +0000

Concepts

1. CAS

CAS (Central Authentication Service, Service d’authentification centrale)
Cadre open‑source de SSO Web (Single Sign‑On, authentification unique) initié par l’université Yale.

2. SSO (Authentification unique)

Centraliser la vérification de l’identité des utilisateurs de plusieurs applications web sur une seule adresse.

Caractéristiques : les applications communiquent via les protocoles web (HTTPS) avec une entrée de connexion unique globale

Explication simple : connectez‑vous une seule fois au centre d’authentification dans le même navigateur, tous les sites de confiance deviennent accessibles sans nouvelle connexion

3. Trois acteurs du système SSO

User : utilisateur final (navigateur web)
Applications web (plusieurs systèmes métiers)
Centre d’authentification SSO (unique)

4. Trois principes fondamentaux du SSO

Toutes les opérations de connexion de compte s’exécutent au niveau du centre d’authentification SSO ;
Le centre d’authentification fournit un mécanisme pour informer chaque application web si l’utilisateur courant est authentifié ;
Une relation de confiance préétablie existe entre le centre d’authentification et l’ensemble des applications web métier.

Deux composants clés

CAS Server (Serveur d’authentification)

Application web déployée indépendamment, constituant le seul centre d’authentification
Missions : recevoir identifiant et mot de passe, valider l’identité utilisateur ; émettre des tickets (Ticket), gérer le cookie de session global TGC

CAS Client (Client intégré dans chaque système métier)

Installé dans chaque application web métier, généralement mis en œuvre sous forme de filtre Filter
Missions : intercepter les requêtes vers des ressources protégées ; rediriger automatiquement le navigateur vers la page de connexion CAS Server quand l’utilisateur n’est pas connecté

Fonctionnement

L’utilisateur accède à une ressource du système métier → CAS Client intercepte la requête et détecte l’absence du Service Ticket
Le Client redirige le navigateur vers l’adresse de connexion CAS Server en transmettant l’adresse du système métier (Service)
L’utilisateur saisit identifiant et mot de passe sur CAS Server pour valider sa connexion
- Connexion réussie : CAS Server dépose dans le navigateur le TGC (Ticket Granting Cookie), cookie de session global
- Génération du ticket à usage unique : Service Ticket (ST)
CAS Server redirige à nouveau le navigateur vers l’adresse du système métier, avec le paramètre URL Ticket=xxx
Le CAS Client du système métier réalise un appel serveur‑à‑serveur en arrière‑plan avec l’adresse Service et le Ticket, pour vérifier la validité du ticket auprès de CAS Server
CAS Server confirme la validité du ticket et renvoie les informations d’identité utilisateur (nom d’utilisateur, etc.)
La validation aboutit, le système métier crée une session locale et l’utilisateur consulte les pages normalement

Rôle du TGC : tant que le navigateur conserve le cookie TGC, l’accès aux autres systèmes compatibles CAS ne déclenche pas de page de connexion, l’authentification unique se fait automatiquement.

Présentation